Demnächst verfügbar. Der verifizierte aktive Scan ist noch nicht im Verkauf: Er wird Arbeitsbereich für Arbeitsbereich geöffnet. Sie können den frühen Zugang schon jetzt anfragen. Dieser Artikel erklärt, wie er funktionieren wird, damit Sie sich vorbereiten können.

Das passive Audit liest nur, was Ihre Domain der Welt zeigt. Der verifizierte aktive Scan geht einen Schritt weiter: Mit einer Ermächtigung, die Sie unterzeichnen, sendet unser eigener Scanner echte Testanfragen an die Webanwendungen Ihrer Wahl (Nuclei, dann OWASP ZAP), auf Wunsch mit einem Testkonto angemeldet, und sagt Ihnen, welche Vermutungen des Audits sich bestätigen und welche nicht. Die Seite zum aktiven Scan beschreibt ihn im Detail.

Bevor Sie beginnen

Die Domain muss nachgewiesen sein, mit ihrem TXT-Eintrag. Eine Domain in der Vorschau kann nicht aktiv gescannt werden.
Nur Inhaber und Administratoren des Arbeitsbereichs können eine Ermächtigung unterzeichnen. Mitglieder können einen Scan starten, sobald eine Ermächtigung gilt; Betrachter nicht.
Bereiten Sie ein Testkonto vor, wenn Sie hinter der Anmeldung testen möchten: ein eigens angelegtes Konto ohne Daten echter Kunden, nie ein Produktionsadministrator.
Informieren Sie Ihren Hoster oder Ihr Sicherheitsteam vor dem ersten Scan, wenn sie auf Angriffe achten. Die Anfragen kommen von einer veröffentlichten Adresse, mit dem User-Agent PerimetryActive/1.0.
Für die Website eines Kunden holen Sie vor der Unterzeichnung dessen schriftliches Einverständnis ein.

Eine Ermächtigung unterzeichnen

Öffnen Sie die Domain und klicken Sie auf Aktiven Scan öffnen, dann auf Ermächtigung unterzeichnen.
Bestätigen Sie mit Ihrem Passwort oder einem Passkey, dass Sie es sind.
Wählen Sie die Hosts: die Domain und bis zu 20 ihrer Subdomains, nie eine IP-Adresse oder eine andere Domain. Jeder Host wird mit den Adressen angezeigt, auf die er zeigt: Mit der Unterzeichnung bestätigen Sie, dass auch die Server unter diesen Adressen getestet werden dürfen (Ihre eigenen oder für Sie betriebene).
Geben Sie die Pfade an, die nie abgefragt werden dürfen, einen pro Zeile, beginnend mit /. Abmelde-, Lösch-, Zahlungs- und Passwortänderungsseiten bleiben ohnehin immer außen vor.
Wählen Sie die Engines (Nuclei, ZAP oder beide) und die Rate, von 1 bis 20 Anfragen pro Sekunde.
Legen Sie das Zeitfenster fest: den ersten und letzten Tag (höchstens 90 Tage), die Wochentage, die Uhrzeiten und die Zeitzone.
Fügen Sie auf Wunsch das Testkonto hinzu: einen Header (Bearer-Token oder Sitzungscookie) oder ein Anmeldeformular mit seiner Adresse, seinen Feldern und einem Merkmal, das zeigt, dass Sie angemeldet sind.
Geben Sie Ihren Namen, Ihre Funktion und Ihre Organisation an, lesen Sie den Text der Ermächtigung, setzen Sie das Häkchen und klicken Sie auf Ermächtigung unterzeichnen.

Der genaue Text, den Sie unterzeichnet haben, wird mit seiner Version und seinem Fingerabdruck aufbewahrt, und die Unterzeichnung steht im Aktivitätsprotokoll.

Einen Scan starten

Klicken Sie auf Aktiven Scan starten. Innerhalb des Zeitfensters beginnt der Scan in weniger als einer Minute; außerhalb wartet er auf dessen Beginn. Ein Scan dauert höchstens 4 Stunden. Sie können 3 Scans pro Domain und Tag starten; die Option umfasst 4 vollständige Scans pro Monat und Domain.

Sie können einen Scan jederzeit auf seiner Seite stoppen.

Die Ergebnisse lesen

Jeder Befund zeigt die Engine, die ihn gefunden hat, seinen Schweregrad, die betroffene Adresse und einen kurzen Nachweis. Cookies, Tokens, Passwörter, E-Mail-Adressen und Ihr Testkonto werden vor der Speicherung aus dem Nachweis entfernt.

Unter den Befunden werden die des letzten passiven Audits mit dem Scan abgeglichen:

Bestätigt: Der aktive Test hat ihn reproduziert. Beheben Sie ihn zuerst.
Nicht reproduziert: Der Test hat ihn nicht ausgelöst. Vielleicht blockiert ihn eine Firewall oder ein Patch; prüfen Sie das, bevor Sie das Risiko akzeptieren.
Nicht getestet: Kein Test des Scans hat ihn abgedeckt.

Eine Ermächtigung widerrufen

Klicken Sie bei der Ermächtigung auf Widerrufen. Ein laufender Scan stoppt innerhalb weniger Minuten, und die Zugangsdaten des Testkontos werden gelöscht. Eine Ermächtigung endet auch von selbst am Ende ihres Zeitfensters, nach höchstens 90 Tagen, oder wenn die Domain nicht mehr nachgewiesen ist.

Was der Scan nie tut

Er versucht nie, einen Dienst lahmzulegen, rät nie Passwörter und führt nie zerstörende Aktionen aus. Er verbindet sich nur mit den Hosts und Adressen, die Sie unterzeichnet haben, auf den Ports 80, 443, 8080 und 8443, nie mit privaten oder reservierten Adressen, und er stoppt von selbst, wenn er 5 Minuten lang keinen Kontakt zur Anwendung hat.

Preis

49 € pro Monat und Domain zzgl. MwSt. (490 € pro Jahr), ab dem Tarif Solo. Agency enthält 1 Domain, Agency Plus 3. Nicht im Tarif Free verfügbar. Bis zu 20 Hosts und 4 vollständige Scans pro Monat und Domain.